Discussion :

[Coriolan]

Des chercheurs de sécurité de la FTC piratent des drones commerciaux en plein vol
À cause de l'existence de vulnérabilités critiques

Le marché du drone est actuellement en pleine expansion, son chiffre d’affaires étant passé de 62 millions d’euros en 2012 à une estimation de 288 millions d’euros en 2015. La France aussi n’a pas échappé à cette tendance, en 2014, il s’est vendu environ 100 000 drones dans l’Hexagone, un an plus tard ce sont plus de 286 000 drones qui se sont vendus sur la même période. On pourrait presque résumer la situation, en affirmant que l’on est passé du simple, au triple !

Bien évidemment, cette situation ravie les entreprises positionnées dans ce domaine, mais devrait aussi attirer l’attention des cybercriminels et pirates qui chercheront à prendre contrôle de ces appareils volants. C’est ce que l'ont démontré des chercheurs de sécurité durant un atelier sur les drones et la confidentialité en octobre dernier. Les chercheurs de la FTC (Federal Trade commission) ont montré qu’ils sont capables de pirater trois drones commerciaux dont le prix est inférieur à 200 dollars. Les drones en question ont été le AR Drone Elite Quadcopter de Parrot, l’un des leaders du secteur. Et aussi le Hawkeye II 2nd FPV Motion Sensing Quadcopter de DBPower et le oneCase CX-10w fabriqué par Cheerson.

Le but de la FTC a été de révéler l’existence de vulnérabilités de sécurité dans ces drones qui pourraient mettre à mal la confidentialité des utilisateurs. En effet, les drones incorporent de véritables ordinateurs (on peut les considérer comme des ordinateurs volants), et qui dit ordinateur dit sécurité. Si les pirates réussissent à prendre le contrôle d’un drone, ils pourront surveiller les gens du ciel ou encore faire crasher les drones sur des gens en bas.

Les chercheurs de la FTC ont réussi à prendre le contrôle des drones de différentes façons. De un, ils ont réussi à intercepter le fil de vidéos dans les trois drones, du fait que les données envoyées n’étaient pas chiffrées. Dans deux drones, ils ont réussi à prendre le contrôle de la trajectoire de vol et même arrêter leurs moteurs, causant leur chute libre du ciel. Les applications qui sont livrées normalement avec ces drones n’ont rien signalé d’anormal à l’opérateur des drones, pour cette raison, l’utilisateur ne s’est pas rendu compte qu’un pirate a pris le contrôle du drone et a intercepté le fil de vidéos. Enfin, chaque drone pouvait agir comme un point d’accès Wifi, permettant à différents appareils de s’y connecter comme un routeur sans protection par mot de passe.

C’est d’ailleurs ce dernier point qui a permis aux chercheurs de prendre le contrôle des drones et intercepter les échanges avec l’appareil de contrôle comme un smartphone (par application). Cela a permis de carrément arrêter le drone en plein vol et causer sa chute libre. La connexion Wifi ouverte leur a permis de s’authentifier avec succès dans l’interface de contrôle du drone. Selon la FTC, les constructeurs pourraient faire face à ces enjeux de sécurité en chiffrant les signaux Wifi émis par les drones et en ajoutant une protection par mot de passe.

Source : Drones and privacy - Le Monde

Et vous ?

Qu'en pensez-vous ?

Voir aussi :

Un chercheur en sécurité de Trend Micro parvient à se rendre maître des drones en plein vol, en exploitant une faille du protocole DSMX

[marsupial]

Selon la FTC, les constructeurs pourraient faire face à ces enjeux de sécurité en chiffrant les signaux Wifi émis par les drones et en ajoutant une protection par mot de passe.

Mettre le mot de passe en clair dans un fichier de config comme certains magazines "spécialisés" l'apprennent au particulier...

Ne serait-ce pas mieux de les former à la sécurité en même temps que le fonctionnel ? Hummm Raspberry mag ?

[Jonyjack]

J'ai un ARDrone Elite et j'ai été surpris de voir qu'on s'y connecte via un point d'accès Wifi ouvert ! Même pas un mot de passe que l'on pourrait (devrait) changer grâce à l'application sur le smartphone.... C'est assez simple et ça évite ce genre de problèmes...